[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fizc" } } }, { "id": 4, "label": "240х200_mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "flbq" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfk" } } }, { "id": 6, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "create", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223676-0", "render_to": "inpage_VI-223676-0-158433683", "adfox_url": "//ads.adfox.ru/228129/getCode?p1=bxbwd&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid21=&puid22=&puid31=&fmt=1&pr=" } } ]
{ "author_name": "Konstantin Panphilov", "author_type": "self", "tags": ["fail","ios","\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c","\u0441\u0442\u0430\u0440\u0431\u0430\u043a\u0441","starbucks"], "comments": 0, "likes": 12, "favorites": 0, "is_advertisement": false, "section_name": "default", "id": "2737" }
Konstantin Panphilov
3 785

Приложение Starbucks хранит пароли в открытом виде

Мы как-то писали о том, что приложение сети «Япоша» показывает всем желающим адреса и телефоны заказчиков. Оказалось, что крупные трансконтинентальные сети тоже подвержены подобным проколам — американское приложение Starbucks для iOS, при помощи которого можно искать заведения неподалёку и оплачивать кофе, хранит пользовательские данные в незашифрованном виде.

[caption id="" align="aligncenter" width="1280"] Типичная забегаловка[/caption]

Чтобы получить юзернейм и пароль жертвы, достаточно незаметно подключить телефон к компьютеру и скачать оттуда данные — всё хранится в виде обычного текста. Точно так же приложение сохраняет и данные о перемещениях пользователя.

Сам по себе это не такой уж и страшный прокол — во-первых, обладая такой информацией, можно лишь пропить чей-то счёт в кофейне. Ну, если кто-то купит себе кофе на мои 400 рублей, то ничего особенно опасного в этом нет (однако, могут пострадать те, кто использует везде один и тот же пароль). Во-вторых, для такого «взлома» нужен полный доступ к чужому смартфону — и если ваш телефон оказывается в злых руках, то это в любом случае грозит гораздо более страшными потерями, чем два стакана капуччино.



Руководство сети в курсе, что в их приложении есть такая вот дыра — они даже выпустили обновление, в котором, впрочем, всё остаётся на своих местах.

Приложение не лишено других слабых сторон — платёж происходит путём сканирования экрана с изображённым на нём баркодом, то есть кто-то может тайком его сфотографировать и расплачиваться от вашего имени.

Интересен способ исследования, применённый аналитиком Дэниелем Вудом — тем самым, кто первым обнаружил это вопиющее нарушение приватности. По его словам, на всё про всё требуется от 30 минут до 1 часа, при этом вовсе не обязательно знать код разблокировки айфона. Нужно подключить телефон к компьютеру и найти файл session.clslog, который находится в папке Library/Cache. Именно там хранятся все явки и пароли — можно начинать грабить. Израсходовав все средства на балансе жерты, можно запустить руку в её банковский аккаунт — если в приложении включена функция автопополнения баланса. Но, опять же, если на эти деньги можно лишь кофе покупать, то какой в этом прок мошеннику?

В целом, мораль истории такова: никогда и нигде нельзя хранить важные данные, тем более чужие, в открытом виде. Руководство Starbucks делает скользкие и мутные заявления, по факту не предпринимая никаких полезных действий, хотя на их месте стоило бы исправить всё как можно скорее — пока не пострадал кто-то, кто использует один и тот же пароль и для карты Starbucks, и для своего банковского счёта.

#fail #iOS #безопасность #старбакс #starbucks

Популярные материалы
Показать еще

Прямой эфир

Компания отказалась от email
в пользу общения при помощи мемов
Подписаться на push-уведомления